La Universitat de Barcelona cerró sus conexiones a internet por una alerta de ciberseguridad tras una apresurada reunión a última hora de este miércoles. Altos responsables técnicos de la UB reunidos con urgencia aconsejaron acertadamente el cierre inmediato de los accesos desde el exterior a la red informática de la universidad como estrategia para establecer las salvaguardas necesarias ante la amenaza detectada. Como consecuencia el portal de la UB ofrecía a los estudiantes un escueto mensaje este miércoles en el Campus Virtual. "Campus Virtual de la Universitat de Barcelona ha dejado de funcionar temporalmente a causa de una vulnerabilidad crítica en el lenguaje de programación PHP. En un fallo de alcance internacional y las agencias oficiales de ciberseguridad han recomendado hacer paros preventivos de webs y servicios para reforzar la protección". Fuentes del sector informático reconocieron que "seguro que habrán más cierres de web por el alto riesgo que se vive con la inteligencia artificial. Es como un ES-alert. Habrá que ir acostumbrándose".

La mayoría de las webs están hechas con lenguaje PHP y la alerta ha tenido eco mundial. El Instituto Español de Ciberseguridad, Incibe, se ha aprestado a ofrecer los 'parches' o herramientas básicas de programación para enmendar la ventana sensible que permitiría una verdadera debacle en las web que no solucionen la vulnerabilidad con urgencia. Según Incibe, "las versiones afectadas de las ramas mantenidas son PHP 8.2.x anterior a 8.2.35, PHP 8.3.x anterior a 8.3.36, PHP 8.4.x anterior a 8.4.27 y PHP 8.5.x anterior a 8.5.12. PHP considera en riesgo las instalaciones que procesan solicitudes web, incluidas las que utilizan PHP-FPM, Apache mod_php, php-cgi, FrankenPHP y LiteSpeed. El riesgo es mayor en Apache mod_php. PHP 8.1 y las ramas anteriores ya no reciben actualizaciones regulares del proyecto. PHP ha publicado parches de código fuente para las ramas 7.4, 8.0 y 8.1; otros sistemas pueden disponer de retroportaciones de sus distribuidores o proveedores de soporte". Los técnicos pueden recurrir aquí al remedio para mejorar la seguridad de sus redes informáticas.

El Ministerio de Transformación Digital recomendo a toda entidad pública o privada actualizar de inmediato la versión del ecosistema PHP ante las "múltiples vulnerabilidades" detectadas. El equipo de seguridad de PHP informó sobre dos vulnerabilidades críticas que podrían permitir la ejecución remota de código (RCE), afectando a plataformas como WordPress, MediaWiki o Symphony, entre otros, lo que ha llevado a lanzar una actualización de seguridad urgente y ha obligado a aislar sitios y aplicaciones web en todo el mundo de forma preventiva por seguridad. Pero son muchas las aplicaciones que utilizan PHP como lenguaje de programación.

PHP es un lenguaje de programación de código abierto que habitualmente se utiliza para crear sitios y aplicaciones web, así como para procesar formularios, gestionar sesiones o consultar bases de datos, por lo que está muy presente en internet y es utilizado ampliamente por los desarrolladores a nivel global.

En este marco, se han hallado dos vulnerabilidades de ejecución remota de código en el ecosistema PHP que, etiquetadas como CVE-2026-109618 y CVE-2026-109619, han alcanzado una puntuación de gravedad de 9.2 sobre 10 en la escala CVSS 4.0, lo que indica que son críticas.

Noticias relacionadas

Las vulnerabilidades han sido recogidas por la compañía de ciberseguridad watchTowr, que ha señalado que estas vulnerabilidades se conocen como 'PHP2shell' y podrían permitir a los atacantes ejecutar su propio código en servidores afectados, tomando el control para alterar maliciosamente sitios web o robar datos. Varios países, como Países Bajos, Bélgica o Francia, han confirmado suspensiones voluntarias de servicios oficiales y Japón ha recomendado desactivar páginas web en caso extremo.

Suscríbete para seguir leyendo